Rappi MCP (unofficial)

Inoffiziell. Nicht mit Rappi verbunden, von Rappi unterstützt oder befürwortet. Nicht die Rappi-Partners-Restaurant-API. Die Verbraucher-Web-/App-Oberfläche kann sich ohne Vorankündigung ändern.

Zahlt standardmäßig nie. rappi_place_order und Zahlungsschreibvorgänge tun nichts, es sei denn, RAPPI_ALLOW_MUTATIONS ist aktiviert und explicit_user_intent ist true. Gast-Tokens können keine Zahlungen auslösen. Straße, Telefon, E-Mail und die letzten vier Ziffern werden geschwärzt.

Einrichtung in 60 Sekunden

npx -y rappi-mcp-unofficial setup
npx -y rappi-mcp-unofficial auth --from-header "Bearer eyJ…"
npx -y rappi-mcp-unofficial doctor

Das Token ist kein OAuth. Öffne rappi.com.br im angemeldeten Zustand → DevTools → Network → einen beliebigen services.rappi.com.br-Aufruf → kopiere den Authorization-Header. Die Gastsuche funktioniert weiterhin ohne Token; Zahlungstools bleiben gesperrt.

Stdio-Snippet (Claude Desktop, Cursor, Grok Bot). Setze RAPPI_ALLOW_MUTATIONS hier nicht:

{
  "mcpServers": {
    "rappi": {
      "command": "npx",
      "args": ["-y", "rappi-mcp-unofficial"]
    }
  }
}

Siehe examples/claude-desktop.json und examples/grok-bot.md.

Related MCP server: RappiMCP

Tools

HTTP (optional, Loopback)

Der Standardtransport ist stdio. Streamable HTTP bindet an 127.0.0.1 und prüft Origin gegen http://127.0.0.1:<port> (überschreibbar mit RAPPI_MCP_ALLOWED_ORIGIN). Das ist DNS-Rebinding-Schutz, kein öffentlicher Server.

npx -y rappi-mcp-unofficial --http
# GET  http://127.0.0.1:3000/health
# POST http://127.0.0.1:3000/mcp

Sicherheit

Tokens liegen in ~/.rappi-mcp/tokens.json (0600). Sie sind nicht in git, im npm-Tarball oder in den Standardbeispielen enthalten. Ausführliche Hinweise: SECURITY.md. Agents: llms.txt.

Tests

npm test

Kein Live-Rappi-Login erforderlich.